Neu Shop 4 Captcha - Spamschutz

[MBesancon]

Ist denn "In Kürze" schon erreicht ? Ich kämpfe seit neuestem (Umstellung auf PHP7.2) mit recaptcha und bin nur noch genervt ... es will einfach nicht funktionieren ...

Ich arbeite mit Hochdruck am Plugin. Ich wurde leider durch einen Trauerfall in der Familie extrem eingebremst. Aber ich bin dran!

 

[bags]

Lässt sich die Version des Google reCAPTCHA prüfen?
Auf unserem Regsistrierungsformular tobt sich seit heute nacht ein chinesischer bot aus. Zum Glück hält die Blacklist den meisten Schrott ab.
Das aktuelle reCAPTCHA ist leider wirkungslos, auch Umstellungen bei den Pflichtfeldern im Anmeldeformular "verpuffen".
Jemand eine Idee außer die IPs in der htaccess zu sperren.
Ticket dazu ist bei JTL seit heute morgen auf Ticket#2019021410001273

 

[css-umsetzung]

Bist du auf einem eigenem Server?
Oder sind die Daten der Chinesen immer gleich?

Wenn es immer vergleichbare Daten sind, habe ich ein passendes Plugin das sie in dem glauben lässt das Sie sich angemeldet haben, damit Sie sich nichts neues einfallen lassen.
Wenn du einen eigenen Server hast dann hättest du die Möglichkeit diese über GEOIP auszusperren, das habe ich vor kurzem bei einem Kunden gemacht der förmlich überrannt wurde von den Asiaten.

 

[bags]

Bist du auf einem eigenem Server?
Oder sind die Daten der Chinesen immer gleich?

Wenn es immer vergleichbare Daten sind, habe ich ein passendes Plugin das sie in dem glauben lässt das Sie sich angemeldet haben, damit Sie sich nichts neues einfallen lassen.
Wenn du einen eigenen Server hast dann hättest du die Möglichkeit diese über GEOIP auszusperren, das habe ich vor kurzem bei einem Kunden gemacht der förmlich überrannt wurde von den Asiaten.

Besten Dank für die Unterstützung. Hosting läuft über JTL. Die Daten in den Anmeldungen die durchkamen sind identisch. E-Mail-Adressen variieren "leicht", zumeist sind es Zahlenkombinationen vor @qq.com. Die lassen sich zumindest über die Blacklist "abwehren". Es kommen aber mitunter auch gmail, hotmail, sohu, etc. Ich hänge mal zwei Screenshots dazu mit ran. Was mich nur gewundert hat, dass die Typen in der Registrierung durchkamen obwohl wir z.B. die UST-ID Angabe und Prüfung eingestellt haben und auch keine Zahlen in Namen zulassen. Ich kann nur jedem empfehlen die Blacklist zu nutzen und mit *@qq.com, etc. zu "füttern".
Mittlerweile hat der Support von JTL auch schon großartig reagiert und zumindest ist für den Moment mal Ruhe. Ich komme aber gerne auf das Plugin von Dir zurück.
Grüße und schönen Feierabend

Am Rande noch bemerkt. Da mir diese Typen gehörig auf den Zeiger gehen, werde ich bei nächster Gelegenheit unser Digitalminsterium fragen, ob sie die Chinesen nicht mal darauf hinweisen können, dass deren Exporte auf Dauer nur funktionieren, wenn die Shops weltweit auch chinesische Produkte "störungsfrei" anbieten können und vielleicht doch mal etwas gegen diese Nervensägen unternehmen und Punkte vom "Führungskonto" abziehen
Als Shopbetreiber dürfen wir ja über DSGVO, VerpackG, ProdSG, Geoblocking, etc. alles tun um unser Kunden zu "schützen". Vielleicht kommt auch mal irgendwann ein Schutz für Shopbetreiber

 

[css-umsetzung]

Dann versuche das mal damit
https://css-umsetzung.de/shop/downloads/css_stopFakes.zip

du siehst in der hooks.php dieses hier

    case HOOK_REGISTRIEREN_PAGE_REGISTRIEREN_PLAUSI:
        if(
                    (isset($_POST['firma']) && $_POST['firma']=='CCC')
            ||     (isset($_POST['nachname']) && $_POST['nachname']=='zzzzz')
        )    {
            header("location: ".URL_SHOP);
            exit;
        }
    
}

Das muss dann für dich angepasst werden so das du das Feld nimmst was immer den gleichen Inhalt hat, ich sehe leider nicht wie die Felder bei dir benannt sind sonst hätte ich gleich das richtige dafür gesagt.
Bei meinem Kunden war es Firma und Nachname was immer gleich war.

Das Problem bei meinem Kunden war das die Wawi dadurch mehrere zehntausende Anmeldungen hatte die dann in der wawi landeten und das der externe Mail-dienst dann über sein Limit kam was an Emails in der Stunde gesendet werden darf.
Nachdem der Kunde nun auf einem eigenem Server ist und ich das GEO Blocking eingerichtet habe ist endlich Ruhe.

 

[bags]

Dann versuche das mal damit
https://css-umsetzung.de/shop/downloads/css_stopFakes.zip

du siehst in der hooks.php dieses hier

    case HOOK_REGISTRIEREN_PAGE_REGISTRIEREN_PLAUSI:
        if(
                    (isset($_POST['firma']) && $_POST['firma']=='CCC')
            ||     (isset($_POST['nachname']) && $_POST['nachname']=='zzzzz')
        )    {
            header("location: ".URL_SHOP);
            exit;
        }
   
}

Das muss dann für dich angepasst werden so das du das Feld nimmst was immer den gleichen Inhalt hat, ich sehe leider nicht wie die Felder bei dir benannt sind sonst hätte ich gleich das richtige dafür gesagt.
Bei meinem Kunden war es Firma und Nachname was immer gleich war.

Das Problem bei meinem Kunden war das die Wawi dadurch mehrere zehntausende Anmeldungen hatte die dann in der wawi landeten und das der externe Mail-dienst dann über sein Limit kam was an Emails in der Stunde gesendet werden darf.
Nachdem der Kunde nun auf einem eigenem Server ist und ich das GEO Blocking eingerichtet habe ist endlich Ruhe.

 

[bags]

Ja klasse. Tausend Dank für die Unterstützung. Ich mache mich da morgen gleich mal ran
Melde mich - Bis dann

 

[Schoko-Laden]

Gibt es zum Spamschutz jetzt eine Lösung? Ist der Google Capcha nun DSGVO Konform? Geht es ohne die Bildchenklickerei? Gibt es etwas anderen nutzbares?
Wir bekommen über Nacht ca. 1000 Spammails über das Kontaktformular. Tagsüber geht es natürlich weiter. Damit ist das Formular praktisch nicht mehr nutzbar.
Ich hätte gerne Abhilfe geschaffen, aber bin überhaupt kein IT Experte...

Was kann ich machen?
Vielen Dank im Voraus!

 

[css-umsetzung]

Es gibt derzeit nichts anderes von dem ich wüsste, normalerweise füllen die dummen Bots alle Felder aus die sie finden, damit könnte man versuchen sie zu stoppen.

ich habe mein Plugin mal um ein Fake Feld Feld erweitert das ich abfrage.

Teste es einfach mal aus, ich bin aber nicht schuld wenn du dann keine Bestellungen mehr bekommst
http://css-umsetzung.de/shop/downloads/css_stopFakes101.zip

Eine Rückmeldung ob es besser wurde wäre schön (das ist aber nur ein Provisorium, bis es eine vernünftige Lösung gibt)

 

[bags]

Gibt es zum Spamschutz jetzt eine Lösung? Ist der Google Capcha nun DSGVO Konform? Geht es ohne die Bildchenklickerei? Gibt es etwas anderen nutzbares?
Wir bekommen über Nacht ca. 1000 Spammails über das Kontaktformular. Tagsüber geht es natürlich weiter. Damit ist das Formular praktisch nicht mehr nutzbar.
Ich hätte gerne Abhilfe geschaffen, aber bin überhaupt kein IT Experte...

Was kann ich machen?
Vielen Dank im Voraus!

Können wir leider nachvollziehen, hatten aber gute unterstützung über den suppot und css-umsetzung
1. Setze dich am besten mit dem Support in Verbindung und mach ein Ticket auf
2. css-Umsetzung (siehe weiter oben) ist sicher auch eine gute Adresse.
3. Nutze die Blacklist um zumindest einen Großteil abzuwehren. Bei uns kamen die meisten Spammer über yandex.ru oder qq.com (*@yandex.ru; *@mail.ru; *@qq.com; usw.)
Viel Erfolg

 

[en001]

.... Fake Feld Feld .....

Das könnte dazu führen das die Seite als unsicher eingestuft wird durch z.B. Google.
Oft genug ist es so das es diese versteckten Felder ja auch gibt um Daten abzufangen die von Leuten im Browser gespeichert wurden.

 

[_simone_]

@css-umsetzung
Kann man die Zeile

            ||     (isset($_POST['nachname']) && $_POST['nachname']=='zzzzz')

ohne weiteres durch diese ersetzten?

            ||     (isset($_POST['nachname']) && preg_match("\p{Han}",$_POST['nachname']))

Passt die Syntax? ("\p{Han}" ist der chinesische Schriftsatz)

 

[css-umsetzung]

Das könnte dazu führen das die Seite als unsicher eingestuft wird durch z.B. Google.
Oft genug ist es so das es diese versteckten Felder ja auch gibt um Daten abzufangen die von Leuten im Browser gespeichert wurden.

Also momentan bemängelt Google mein Feld nicht und sagt auch nichts wenn ich das absende.
https://jtlversion.dateispeicher.de/406/

Die hooks.php ist ja nicht verschlüsselt, daher kann ja auch jeder aus dem

        pq("form")->append('<div class="hidden"><input type="text" name="cssField" value=""></div>' );

ein

        pq("form")->append('<input type="hidden" name="cssField" value="">' );

machen, aber ich denke die Bots werden dann ein hidden Feld nicht unbedingt ausfüllen.
Es wäre ja auch wie schon geschrieben nur ein Provisorium, ich würde das niemals als endgültige Lösung laufen lassen.

Passt die Syntax? ("\p{Han}" ist der chinesische Schriftsatz)

Das sieht aber sehr komisch aus, ein preg_match möchte das gerne so haben preg_match("/\\p{Han}/",$_POST['nachname']);

aber was ist \p{Han}? steht das so in deinem in deinem $_POST['nachname'] drin?

 

[Schoko-Laden]

Können wir leider nachvollziehen, hatten aber gute unterstützung über den suppot und css-umsetzung
1. Setze dich am besten mit dem Support in Verbindung und mach ein Ticket auf
2. css-Umsetzung (siehe weiter oben) ist sicher auch eine gute Adresse.
3. Nutze die Blacklist um zumindest einen Großteil abzuwehren. Bei uns kamen die meisten Spammer über yandex.ru oder qq.com (*@yandex.ru; *@mail.ru; *@qq.com; usw.)
Viel Erfolg

Vielen Dank. Die Blacklist habe ich gesetzt.
Auch habe ich die anderen Capcha Optionen im JTL Backend probiert. (Rechenaufgabe und co.) Leider werden diese nicht angezeigt. Das scheint zwar den Spam zu verhindern, aber eben auch echte Anfragen und ist damit dann auch nicht gut zu nutzen...
Ticket werde ich schreiben und berichten.

 

[_simone_]

Das sieht aber sehr komisch aus, ein preg_match möchte das gerne so haben preg_match("/\\p{Han}/",$_POST['nachname']);

aber was ist \p{Han}? steht das so in deinem in deinem $_POST['nachname'] drin?

Natürlich nicht; da steht: 每月免费筹码
...aber so sollte das klappen?

preg_match("/\\p{Han}/",$_POST['nachname'])

Mittlerweile kommen die chinesischen Spam-Anmeldungen schon über *@gmail.com

edit: ist da nicht ein "\" zuviel?

 

[css-umsetzung]

edit: ist da nicht ein "\" zuviel?

Wenn du ein \ in der abfrage hast musst du \\ eingeben, sonst würde er das als Steuerzeichen ansehen

 

[_simone_]

Funktioniert im regex-Tester, aber leider nicht bei der Anmeldung.

 

[css-umsetzung]

Du kannst ja auch anrufen, dann erkläre ich dir ein wenig php
dann schauen wir mal was du da wirklich machst

 

[css-umsetzung]

Ok,

\p{Han}

Gibt es um chinesische Zeichen zu erkennen, kenne ich gar nicht, geht aber auch nicht, da der shop das ja vorher schon in lesbare Zeichen umgewandelt hat. Daher zählen wir in dem Fall jetzt lieber die Anzahl der & Zeichen.

 

[MBesancon]

Nase voll von Formular-Spam?

Seit ein paar Tagen ist mein neuestes Plugin verfügbar.

Das "Lilfoot SpamProtector"-Plugin verhindert einfach und effektiv verschiedenste Arten von Formularspam

• DSGVO-Konform
• benutzerfreundlich, weil komplett unsichtbar (im Gegensatz zu reCaptcha)
• spart Zeit und Geld, weil weniger Müll im Postfach oder in der Wawi landet

Jetzt direkt 10 Tage unverbindlich testen! Ein Installationspaket findest du direkt im Shop!